Token hardware e generatore OTP per l’autenticazione a due fattori

 

Anche quando l’utente rispetta le raccomandazioni su lunghezza e complessità delle password, in alcuni casi non basta per evitare il furto delle password. Quando si tratta di applicazioni web ad alto carico come servizi di posta, banking o persino Amazon e Facebook, l’uso dell’autenticazione OTP (autenticazione con password monouso) rappresenta un modo per evitare gli attacchi di keylogging. Hideez ha creato un modo affidabile e a prova di manomissione per farlo con chiavi di sicurezza hardware multifunzione in grado di generare OTP, memorizzare e compilare automaticamente le Sue password e altro ancora.

Cosa significa OTP e come funziona?

OTP è una password valida per una sola sessione di accesso o transazione su un sistema informatico o altro dispositivo digitale. L’uso dell’OTP aiuta a evitare molti svantaggi associati all’autenticazione tradizionale basata su password statiche.

In parole semplici, un servizio che accetta OTP richiede all’utente di scegliere un generatore di OTP preferito per fornire questa password dinamica.

Alcune implementazioni di generatori OTP incorporano anche l’autenticazione a due fattori. Garantiscono che la password monouso richieda l’accesso a qualcosa che la persona possiede (come un Hideez Key con generatore OTP integrato, o un cellulare) oltre a qualcosa che la persona conosce (come un PIN).

Quali sono i vantaggi dell’uso di un generatore OTP?

Il vantaggio più importante delle password monouso dinamiche è che, a differenza delle password tradizionali, non sono vulnerabili agli attacchi di replay. Ciò significa che un hacker che riesce a registrare un OTP già utilizzato per accedere a un servizio o per eseguire una transazione non potrà riutilizzarlo, poiché non sarà più attivo. Alcuni sistemi OTP mirano inoltre a garantire che una sessione non possa essere facilmente intercettata o impersonata senza conoscere dati imprevedibili creati durante la sessione precedente, riducendo ulteriormente la superficie di attacco.

Gli algoritmi di generazione degli OTP utilizzano in genere pseudocasualità o casualità. Ciò è necessario perché, altrimenti, sarebbe facile prevedere i futuri OTP osservando quelli precedenti. Gli algoritmi OTP concreti variano in modo significativo nei dettagli.

Esistono diversi tipi di generatori OTP:
  • Basata sulla sincronizzazione temporale tra il server di autenticazione e il client che fornisce la password (come un generatore OTP in Hideez Key)
  • Basata su un algoritmo matematico che genera una nuova password a partire dalla password precedente.
  • Basata su un algoritmo matematico in cui la nuova password è basata su una sfida (challenge) (ad es. un numero casuale scelto dal server di autenticazione o i dettagli di una transazione) e/o su un contatore.

Esistono inoltre diversi modi per rendere l'utente consapevole del prossimo OTP da utilizzare. Alcuni sistemi usano token OTP hardware portati con sé dall'utente. Tali token generano gli OTP e li mostrano su un piccolo display. Altri sistemi sono costituiti da un software che gira sul telefono cellulare dell'utente. Altri ancora generano gli OTP lato server e li inviano all'utente tramite un canale out-of-band, come i messaggi SMS. E, in alcuni sistemi, gli OTP sono stampati su carta e l'utente è tenuto a portarla con sé.

Hideez offre una soluzione migliore per la generazione e la consegna degli OTP. Innanzitutto, la chiave di sicurezza Hideez inserisce l'OTP direttamente nel campo richiesto, il che non solo fa risparmiare tempo, ma evita anche gli errori dovuti a un numero digitato in modo errato. Il canale tra la chiave e il servizio è crittografato, il che significa che il codice non può essere intercettato, eliminando la vulnerabilità associata alle soluzioni basate su SMS. Inoltre, Lei può utilizzare Hideez Key non solo come generatore di OTP, ma anche come password manager avanzato, così da averlo sempre con sé nell'uso quotidiano, e non può essere distrutto con la stessa facilità di un foglio di carta. In aggiunta, offriamo alle grandi aziende una soluzione efficace per mettere in sicurezza l'autenticazione tramite il nostro servizio di identità aziendale.

Se cerca una soluzione di sicurezza universale per uso personale, può prendere in considerazione token come Hideez Key 5. Quanto ai titolari di aziende, i nostri esperti possono aiutarLa a trovare la soluzione personalizzabile più adatta alla Sua organizzazione, quindi non esiti a prenotare subito una consulenza gratuita.

 

FAQ

Che cos’è una password monouso (OTP)?

Una password monouso è valida per una sola sessione di accesso o una sola transazione. A differenza di una tradizionale password statica, non può essere riutilizzata, il che evita molti degli svantaggi dell’autenticazione basata su password statiche.

In che modo un generatore di OTP supporta l’autenticazione a due fattori?

Alcuni generatori di OTP offrono anche l’autenticazione a due fattori. La password monouso richiede qualcosa che la persona possiede, come un Hideez Key con generatore di OTP integrato o un telefono cellulare, e qualcosa che conosce, come un PIN.

Perché usare password monouso invece di password statiche?

Le OTP non sono vulnerabili agli attacchi replay. Se un malintenzionato registra una OTP già usata per accedere o confermare una transazione, non può più utilizzarla perché non è più attiva. Aiutano inoltre a evitare gli attacchi di keylogging.

Come genera e inserisce le password monouso l’Hideez Key?

L’Hideez Key include un generatore di OTP e inserisce la password monouso direttamente nel campo richiesto, risparmiando tempo ed evitando errori di digitazione. Oltre alla generazione di OTP, funziona come password manager che memorizza e compila automaticamente le Sue password.

Un Hideez Key è più sicuro rispetto alla ricezione delle OTP via SMS?

Un codice generato su una chiave hardware non viene inviato tramite messaggio di testo, quindi non esiste alcun SMS che possa essere intercettato o reindirizzato. Questo colma una debolezza delle soluzioni basate su SMS, e la chiave continua a funzionare come password manager.